सुरक्षा
हम आपके निवेशकों का डेटा कैसे सुरक्षित करते हैं।
प्रबंधक निवेशकों के पहचान दस्तावेज़, कर संख्या और बैंक विवरण EasyHaus को सौंपते हैं। यह पृष्ठ वर्तमान उपाय सरल भाषा में बताता है।
लागू उपाय
एन्क्रिप्शन
स्थानांतरण के दौरान डेटा एन्क्रिप्ट होता है और सबसे संवेदनशील फ़ील्ड डेटाबेस में फिर एन्क्रिप्ट होते हैं।
- सारा ट्रैफ़िक HSTS सहित TLS उपयोग करता है।
- कर ID, पहचान दस्तावेज़ संख्या, बैंक खाता संख्या, लाभकारी स्वामियों के पहचानकर्ता, दूसरे चरण की गोपनीय कुंजियाँ और पुनर्प्राप्ति कोड AES-256-GCM से एन्क्रिप्ट होते हैं। कुंजी डेटाबेस से बाहर रखी जाती है और बदली जा सकती है।
- एन्क्रिप्टेड फ़ील्ड केवल स्वामियों और व्यवस्थापकों को पूरी दिखती हैं, अन्य जगह छिपी रहती हैं और कभी लॉग में नहीं लिखी जातीं।
- ऑडिट रिकॉर्ड में एन्क्रिप्टेड फ़ील्ड, ईमेल पते और फ़ोन नंबर छिपे रहते हैं।
संगठनों के बीच पृथक्करण
हर संगठन अलग टेनेंट है।
- हर डेटाबेस क्वेरी एक संगठन तक सीमित होती है और स्वचालित जाँच असंबंधित क्वेरी अस्वीकार करती है।
- पृथक्करण परीक्षण एक जैसे डेटा वाले दो संगठन बनाकर जाँचता है कि कोई एंडपॉइंट दूसरे के रिकॉर्ड न लौटाए या बदले।
- दूसरे संगठन का रिकॉर्ड नहीं मिला के रूप में जवाब देता है, ताकि उसका अस्तित्व प्रकट न हो।
- पोर्टल सत्र एक संगठन और एक पते का होता है और अन्य जगह अस्वीकार होता है।
खाते और साइन इन
साइन इन अनुमान लगाने और सत्र चोरी से सुरक्षित है।
- पासवर्ड argon2id से हैश होते हैं, कम से कम 10 अक्षर होने चाहिए और ज्ञात डेटा उल्लंघनों के विरुद्ध जाँचे जाते हैं।
- प्रमाणीकरण ऐप और पुनर्प्राप्ति कोड से दो चरणों वाला प्रमाणीकरण। स्वामी इसे हर सदस्य के लिए अनिवार्य कर सकते हैं।
- लगातार दस गलत कोड दूसरे चरण को एक घंटे के लिए लॉक करते हैं और उपयोगकर्ता को ईमेल भेजते हैं।
- सत्र टोकन यादृच्छिक 256-बिट मान होते हैं, केवल हैश के रूप में रखे जाते हैं और निष्क्रियता व अधिकतम समाप्ति अवधि रखते हैं। उपयोगकर्ता अपने सत्र देख और समाप्त कर सकते हैं।
- पासवर्ड रीसेट करने पर हर सत्र समाप्त होता है; बदलने पर अन्य सभी समाप्त होते हैं।
- साइन इन, रीसेट और ईमेल लिंक अनुरोधों की दर सीमित है और ईमेल लिंक एक बार काम करते हैं।
EasyHaus कर्मियों का एक्सेस
हमारे कर्मी ग्राहकों का डेटा नहीं देखते।
- आपके स्वामी द्वारा सहायता एक्सेस चालू करने पर ही सहायता संगठन में कार्य कर सकती है और हर बार कारण देना होता है।
- सहायता सत्र सीमित रिकॉर्ड बदल सकते हैं। वे सदस्य आमंत्रित नहीं कर सकते, सुरक्षा सेटिंग नहीं बदल सकते और डिक्रिप्ट पहचानकर्ता नहीं पढ़ सकते।
- हर सहायता कार्रवाई आपके ऑडिट रिकॉर्ड में दर्ज होती है और सहायता एक्सेस बंद करने पर सक्रिय सहायता सत्र समाप्त होते हैं।
- प्लेटफ़ॉर्म प्रशासन क्षेत्र के लिए दो चरणों वाला प्रमाणीकरण और छोटे सत्र आवश्यक हैं।
ऐप की सुरक्षा
सामान्य वेब हमलों से बचाव डिज़ाइन में शामिल है।
- प्रति अनुरोध नॉन्स वाली कड़ी Content Security Policy और अन्य साइटें पृष्ठों को फ़्रेम में नहीं दिखा सकतीं।
- स्थिति बदलने वाले हर अनुरोध को कस्टम हेडर चाहिए और कुकी HttpOnly, Secure और SameSite होती हैं।
- अपलोड आकार और वास्तविक सामग्री से जाँचे जाते हैं, अनुमत प्रकारों तक सीमित होते हैं और डाउनलोड के रूप में दिए जाते हैं। छवियाँ डिकोड और दोबारा एनकोड होती हैं, जिससे मेटाडेटा हटता है।
- अपलोड लिंक कम समय के लिए मान्य होते हैं और एक बार उपयोग किए जा सकते हैं।
- CSV निर्यात उन सेल को एस्केप करते हैं जिन्हें स्प्रेडशीट फ़ॉर्मूला के रूप में चला सकती है।
- अनुरोधों का कड़ाई से सत्यापन होता है और त्रुटियाँ कभी आंतरिक विवरण नहीं दिखातीं।
- ज्ञात कमज़ोरियों के लिए निर्भरताएँ govulncheck और pnpm audit से जाँची जाती हैं।
रिकॉर्ड और जवाबदेही
आप दिखा सकते हैं कि क्या और कब हुआ।
- हर बदलाव का ऑडिट रिकॉर्ड: कौन, क्या, पहले और बाद में, कब, किस पते से। इसे हटाया नहीं जा सकता।
- दस्तावेज़ स्वीकृतियों में उपयोगकर्ता, संस्करण, समय और फ़ाइल हैश दर्ज होता है।
- हर दस्तावेज़ डाउनलोड जाँचा और लॉग किया जाता है।
गोपनीयता और डेटा अधिकार
निवेशकों के अनुरोध पूरे करने के टूल।
- एक ग्राहक का डेटा ZIP में या पूरे संगठन का डेटा निर्यात करें।
- ग्राहक मिटाएँ: व्यक्तिगत फ़ील्ड बदले और दस्तावेज़ हटाए जाते हैं, वित्तीय रिकॉर्ड पहचान रहित नाम रखते हैं।
- संगठन हटाने के बाद 30 दिन तक बहाल हो सकता है, फिर उसका डेटा और फ़ाइलें स्थायी रूप से मिट जाती हैं।
- डिफ़ॉल्ट रूप से केवल अत्यावश्यक कुकी। जहाँ कानून माँगता है, विपणन वेबसाइट और ऐप में Google Analytics आपकी सहमति से ही चलता है। कोई विज्ञापन कुकी नहीं।
समीक्षाएँ और परीक्षण
ऐप की आंतरिक सुरक्षा समीक्षा अक्टूबर 2026 में पूरी हुई और मिली समस्याएँ ठीक की गईं। स्वतंत्र पैठ परीक्षण अभी नहीं हुआ है।
कमज़ोरी रिपोर्ट करना
यदि आपको सुरक्षा समस्या मिली है तो संपर्क फ़ॉर्म में सुरक्षा रिपोर्ट विषय चुनकर बताएँ और हमारे उत्तर तक दुरुपयोग के विवरण न दें। परीक्षण के दौरान कृपया दूसरों के डेटा तक न पहुँचें और सेवा बाधित न करें।
आपकी अनुपालन टीम के कोई प्रश्न हैं?
हमें इन उपायों पर आपके साथ चर्चा करके खुशी होगी।
